Azure IP akışı doğrulaması izin verildi diyor ama VPN hâlâ başarısız

Siteden siteye tünel bağlı, VM sağlıklı ama şirket içi istemci hiçbir şey almıyor. Network Watcher’ı açıp IP akışı doğrulamasını çalıştırıyorsunuz ve Access allowed diyor, bu yüzden bilet VPN sorunu olarak kapatılıyor. Bu sonuç göründüğü anlama gelmez, çünkü IP akışı doğrulaması tanımladığınız akışın güvenlik kurallarını değerlendirir ve Azure’un şirket içi önekinize bir rotası olup olmadığını asla test etmez.

Filtreleme sorusu ile yönlendirme sorusu ayrıdır ve Network Watcher bunları farklı araçlarla yanıtlar. Hangisini sorduğunuzu bilmek teşhisin büyük kısmıdır.

IP akışı doğrulaması gerçekte neyi kararlaştırır

IP akışı doğrulaması bir VM, bir ağ arabirimi, bir yön, beşli değerler ve bir protokol alır, sonra o akış için NSG ve güvenlik yöneticisi kuralının kararını bildirir. TCP ve UDP üzerinde çalışır, bu yüzden ICMP kural test cihazı değildir ve engellenen bir ping hizmetiniz hakkında hiçbir şey kanıtlamaz. Ona tahmin yerine gerçek akışı verin. Şirket içinden bir veritabanı bağlantı noktasına gelen giriş bağlantısı, VM’in başlattığı çıkış bağlantısından farklı bir tanımdır.

Ağ geçidi adresleri çeviriyorsa, değerlendirdiğiniz sınıra ulaşan kaynak adresi kullanın, istemci yapılandırmasındakini değil. Sonucu da olduğu gibi okuyun. Access allowed, paket gelirse filtre katmanının izin vereceği anlamına gelir, daha fazlası değil.

Söyleyemeyeceği şey, Azure’un seçtiği rota, konuk güvenlik duvarının bağlantı noktasına izin verip vermediği veya bir şeyin dinleyip dinlemediğidir. Bunlar başka katmanlarda yaşar.

Sonraki atlama ve etkin rotalar ne ekler

Sonraki atlama bir iletme sorusunu yanıtlar: bu hedef için Azure hangi sonraki atlama türünü seçer, hangi adreste, hangi rota tablosundan. Etkin rotalar NIC’in gerçekte neye sahip olduğunu listeler. İkisini de çalıştırın, yeşil bir IP akışı doğrulamasının boş bıraktığı Azure tarafı yolu elde edersiniz.

Microsoft’un IP akışı doğrulamasına genel bakış sayfası filtreleme kapsamını doğrudan belirtir, sonraki atlama ve rota tanılama sayfaları ise iletme tarafını kapsar. Bulguyu yazarken doğru sayfayı alıntılayın.

Komutlar bir kabuktan çalıştırılacak kadar kısa. az network nic show-effective-route-table arabirime uygulanan rotaları listeler. az network watcher show-next-hop kaynak ve hedefle seçilen atlamayı döndürür. Önemsediğiniz öneki o tabloyla karşılaştırın, sonra hangi girdinin kazandığını doğrulayın.

Dönüş yolunu VM’in NIC’inden yürüyün

Bunu hedef VM’in NIC’inden, şirket içi istemci öneki için yapın, internet için değil. Dönüş yolu, siteden siteye arızaların saklandığı yerdir, çünkü tünel durumu denetimi yalnızca güvenlik ilişkilerinin ayakta olduğunu bildirir.

Beklenen rota yoksa ağ geçidi yapılandırmasının sağladığı uzak önekleri, VNet bağlantı tasarımını ve herhangi bir rota yayma ayarını denetleyin. Yerel ağ geçidi nesnesi şirket içi tarafı tanımlar; varlığı, gereken her önekin NIC’de bulunduğunu ve tercih edildiğini kanıtlamaz. Bunlar farklı gerçeklerdir ve yalnızca biri portal özetinde görünür.

Örneği kopyalamak yerine sonraki atlama türünü okuyun

Yönetilen VPN ağ geçidi yolu normalde sonraki atlama türü olarak VirtualNetworkGateway gösterir. VirtualAppliance farklı bir iletme tasarımını, genellikle bir güvenlik duvarını veya sanal ağ cihazını tanımlar.

Eski bir forum yanıtı bu türü kullandı diye tahmin edilen bir VPN uç noktasına cihaz rotası oluşturmayın. Kullanıcı tanımlı bir rota amaçlanan yolu geçersiz kılıyorsa, değiştirmeden önce sahibini ve amacını bulun. İkinci bir NIC de konuğun hangi arabirimi kullandığını değiştirebilir ve kaldırılması bu rotayı düzeltmek yerine başka bir hizmeti bozabilir.

Hâlâ başarısız olan sınıra geçin

Filtreleme ve yönlendirme ikisi de tasarımla uyuşuyorsa arıza başka yerdedir. Konuğun kendi rota tablosunu, güvenlik duvarını ve dinleyicinin beklenen adrese bağlı olup olmadığını denetleyin. Ardından VPN’in korunan trafik seçicilerini ve şirket içi yanıt yolunu denetleyin. Bunların her biri ayrı sonuçlu ayrı bir testtir.

İzin verilen bir uygulama isteği ve iki uçtan gözlemlerle bitirin. Bir allow sonucu ve doğru sonraki atlama iki kanıt parçasıdır, bağlantının başarılı olduğunun kanıtı değildir.